ZeroTier en MikroTik: gestionar routers detrás de CGNAT sin IP pública

El problema número uno de todo ISP, integrador o empresa con muchos sitios es el mismo: ¿cómo llego a un router que está detrás de CGNAT o NAT, sin IP pública? Cada vez más operadores entregan CGNAT, y sin IP pública no hay port-forwarding ni VPN entrante tradicional. RouterOS v7 trae integrado ZeroTier, que resuelve esto elegantemente: crea una LAN virtual entre tus equipos, punto a punto, sin importar dónde estén.

Qué es ZeroTier y por qué sirve

ZeroTier es un motor de red virtual que arma una red peer-to-peer cifrada entre dispositivos. Cada equipo que se une obtiene una IP dentro de la red virtual y se ve con los demás como si estuvieran en la misma LAN, aunque estén detrás de CGNAT, en distintas ciudades o sin IP pública. No necesitas port-forwarding, ni PKI que mantener, ni un concentrador con IP fija.

Es la herramienta ideal para gestionar una flota de MikroTiks de clientes: te conectas a cada uno por su IP ZeroTier para administrarlo, aunque el operador del cliente use CGNAT.

Requisitos

• RouterOS v7.5 o superior.
• Arquitectura ARM o ARM64 (la mayoría de equipos modernos; los ARM64 rinden mejor). Los equipos MIPS antiguos no lo soportan.
• El paquete zerotier (.npk) para la arquitectura del equipo.
• Una cuenta en el panel de ZeroTier para crear la red y autorizar los miembros.

Instalación y unión a la red

Sube el .npk al router, reinicia, y luego crea la interfaz ZeroTier y únete a tu red (el Network ID lo sacas del panel de ZeroTier):

/zerotier/add name=zt1 instance=zerotier1
/zerotier/interface/add network=TU_NETWORK_ID instance=zerotier1

Después, en el panel web de ZeroTier, autoriza el nuevo miembro (marcas el check de Auth). En segundos, el router recibe una IP de la red virtual y ya es alcanzable desde cualquier otro miembro autorizado.

Alcanzar la LAN detrás del router

Para que no solo el router sino también los dispositivos de su LAN sean accesibles por ZeroTier, se anuncia la subred local como managed route en el panel y se permite el reenvío:

# permitir forward entre la interfaz ZeroTier y la LAN
/ip/firewall/filter add chain=forward in-interface=zt1 action=accept
/ip/firewall/filter add chain=forward out-interface=zt1 action=accept

Buenas prácticas

• Actualiza el paquete ZeroTier después de cada upgrade de RouterOS: las dos cadenas de versión son independientes y quedar atrasado en una causa cortes silenciosos.
• No bloquees el UDP de salida: ZeroTier lo necesita para armar los túneles punto a punto.
• Usa las flow rules del panel para segmentar qué miembro llega a qué, si administras equipos de varios clientes.

ZeroTier vs WireGuard vs Back To Home

Opción	Mejor para
ZeroTier	Malla de muchos equipos detrás de CGNAT; gestión de flota MSP.
WireGuard	Túnel site-to-site directo y de máximo rendimiento (necesita al menos un extremo alcanzable).
Back To Home	Acceso remoto personal rápido desde el teléfono.

En MikroTik Chile administramos flotas de routers de clientes detrás de CGNAT con acceso seguro y monitoreo centralizado. Si necesitas gestionar tus equipos remotos sin depender de IP pública, conversemos cómo dejarlo operativo.